Microsoft Exchange

マイクロソフトは、Outlook Web Access ユーザーを標的としたクロスサイトスクリプティング（XSS）攻撃において、攻撃者が任意の JavaScript コードを実行できる、現在悪用されている Exchange Server の脆弱性に対して修正プログラムを適用しました。

この高深刻度のなりすまし脆弱性（CVE-2026-42897）は、Exchange Server 2016、Exchange Server 2019、およびExchange Server Subscription Edition（SE）に影響を及ぼし、権限を持たないリモートの攻撃者によって悪用される可能性があります。

「攻撃者は、ユーザーに特別に細工された電子メールを送信することで、この問題を悪用する可能性があります。ユーザーがOutlook Web Accessでそのメールを開き、特定の操作条件が満たされた場合、ブラウザのコンテキスト内で任意のJavaScriptが実行される可能性があります」と、Exchangeチームは5月中旬、マイクロソフトがExchange Emergency Mitigation Service（EEMS）を通じて自動的な一時的な緩和策を展開した際に述べています。

image

CVE-2026-42897を悪用した攻撃に関する質問に対し、Microsoftからはまだ回答が得られていない。

昨日、マイクロソフトは影響を受けるExchange Serverのインストール環境におけるこのセキュリティ上の欠陥に対処するためのセキュリティ更新プログラムをリリースし、管理者に対し「できるだけ早く」これらを展開し、追加の保護のために緩和策を維持するよう勧告した。

「この脆弱性から保護されるため、お使いのExchange Serverのバージョンに対応する2026年6月のセキュリティ更新プログラムをできるだけ早くインストールすることを推奨します」と、同社は当初のセキュリティアドバイザリの更新版で記した。

「環境全体のセキュリティ強化と防御機能の向上に向けた継続的な取り組みの一環として、当社はクロスサイトスクリプティング攻撃に対する保護機能を強化し続けています。お客様には、記載された緩和策を維持することを推奨します。この緩和策は防御の追加層を提供し、さらなる改善がリリースされる中で継続的な保護を確保するのに役立ちます。」

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）も、5月15日にこの脆弱性を「実環境で悪用されているセキュリティ欠陥」のリストに 追加し、米政府機関に対し、5月29日までの2週間以内にサーバーへのパッチ適用を命じた。

過去5年間で、CISAは悪用されているセキュリティ欠陥のリストに20件のMicrosoft Exchange Serverの脆弱性を追加しており、そのうち14件がランサムウェア集団によって悪用されています。

10月、Exchange 2016および2019のサポート終了から数週間後、CISAと国家安全保障局（NSA）は、Exchangeサーバーを攻撃から防御するための強化策に関するガイダンスも発表した。